OpenID логится на том же сайте, где и регился, так что там всеё прозрачно. А вот в Drupal пароль POST' ится в чистом виде.
Чисто теоретический вопрос. Насклоько сложно владельцу сайта поиметь мой пароль когда я вхожу с логином с другого сайта - как например у меня здесь?
Если нет доверия к сайту можно ли на нем логиться распределенно, например для написания вот такого сообщения?
Мое мнение такое, что упереть пароль можно поправив user.module. И получать все новые пароли на почту. Тогда вопрос: какой смысл в этой фиче?
Ведь сказав почту при регистрации я всего лишь получаю ещё спама, а вот залогившись у фишеров я теряю репутацию этого логина плюс получаю злоумышленника со всеми своими привилегиями.